Auf dem Administrator-Host erfolgt die Installation der Kerberos-Client-Tools sowie cifs-utils.

Auf jedem anderen Knoten erfolgt die Installation cifs-utils.

Die Installation auf jedem Knoten ist zu überprüfen.

which cifs.upcall

Es ist der Namespace festzulegen, in dem AI Data Engine ausgeführt wird, und zu überprüfen, ob der Konfigurations-Volume-Claim gebunden ist. Der Standard-Namespace ist aide.

export NAMESPACE="<namespace>"
kubectl -n "${NAMESPACE}" get pvc aide-config-pvc

Der NFS-Server und der Exportpfad des Konfigurationsvolumes werden benötigt. Diese Werte wurden beim Deployment von AI Data Engine angegeben.

kubectl get pv aide-config-pv -o jsonpath='NFS server: {.spec.nfs.server}{"\n"}Export path: {.spec.nfs.path}{"\n"}'

Den Export einhängen. Dabei <nfs_server> und <export_path> durch die Werte aus dem vorherigen Schritt ersetzen. Die Befehle verwenden /mnt/aide-config als Mountpunkt. Hierfür eignet sich jedes leere Verzeichnis.

mkdir -p /mnt/aide-config
mount -t nfs <nfs_server>:<export_path> /mnt/aide-config

Erstellung der Kerberos-Verzeichnisse.

export AIDE_CONFIG_ROOT="/mnt/aide-config"
mkdir -p "${AIDE_CONFIG_ROOT}/kerberos/kerberos_refresher"
mkdir -p "${AIDE_CONFIG_ROOT}/kerberos/kerberos_ccache"

Es sind die Variablen festzulegen, die die folgenden Befehle verwenden. Jeder Wert in spitzen Klammern ist durch den entsprechenden eigenen Wert zu ersetzen; die spitzen Klammern selbst sind nicht anzugeben. Das Realm ist in Großbuchstaben und die Domain in Kleinbuchstaben einzugeben.

export KDC_IP="<kdc_ip>"
export KDC_FQDN="<kdc_fqdn>"
export AD_DOMAIN="<domain>"
export REALM="<REALM>"
export SCAN_USER="<scan_user>"
export FILE_SERVER_FQDN="<file_server_fqdn>"
export SHARE_NAME="<share_name>"
export KRB5_CONF_SOURCE="${AIDE_CONFIG_ROOT}/kerberos/krb5.conf"
export KRB5_KEYTAB="${AIDE_CONFIG_ROOT}/kerberos/kerberos_refresher/datasense.keytab"
export KRB5_CREDS="${AIDE_CONFIG_ROOT}/kerberos/kerberos_refresher/kerberos_creds.env"

Die Kerberos Konfigurationsdatei wird auf dem NFS Export erstellt. AI Data Engine liest diese Datei vom Export. Die Datei darf nicht `/etc/krb5.conf`auf den Knoten erstellt werden.

tee "${KRB5_CONF_SOURCE}" >/dev/null <<EOF
[libdefaults]
    default_realm = ${REALM}
    dns_lookup_realm = false
    dns_lookup_kdc = false
    rdns = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true

[realms]
    ${REALM} = {
        kdc = ${KDC_IP}:88
        admin_server = ${KDC_IP}:749
    }

[domain_realm]
    .${AD_DOMAIN} = ${REALM}
    ${AD_DOMAIN} = ${REALM}
EOF
chmod 644 "${KRB5_CONF_SOURCE}"

Für das Scan-Dienstkonto ist eine Keytab-Datei zu erstellen.

Test der Keytab-Datei. Die KRB5_CONFIG Variable verweist die Kerberos-Tools auf die Datei auf dem Export.

export KRB5_CONFIG="${KRB5_CONF_SOURCE}"
klist -kt /tmp/krb5.keytab
kinit -kt /tmp/krb5.keytab "${SCAN_USER}@${REALM}"
klist
kdestroy

Nach der Installation der Keytab-Datei wird die temporäre Kopie gelöscht.

install -m 640 -g 4321 /tmp/krb5.keytab "${KRB5_KEYTAB}"
rm -f /tmp/krb5.keytab

Das Ticket-Cache-Verzeichnis muss für den Ticket-Refresher mit Schreibzugriff verfügbar sein.

chown root:4321 "${AIDE_CONFIG_ROOT}/kerberos/kerberos_ccache"
chmod 770 "${AIDE_CONFIG_ROOT}/kerberos/kerberos_ccache"

Die Principal-Datei wird erstellt. Der KRB5_RENEW_INTERVAL_H Wert ist das Ticketverlängerungsintervall in Stunden.

tee "${KRB5_CREDS}" >/dev/null <<EOF
KRB5_USER=${SCAN_USER}
KRB5_REALM=${REALM}
KRB5_RENEW_INTERVAL_H=3
EOF
chmod 640 "${KRB5_CREDS}"
chgrp 4321 "${KRB5_CREDS}"

Es ist zu prüfen, ob die Dateien vorhanden sind.

ls -l "${KRB5_CONF_SOURCE}" "${KRB5_KEYTAB}" "${KRB5_CREDS}"

Auf jedem Knoten ist zu überprüfen, ob der Dateiserver und der KDC per FQDN aufgelöst werden. Die Werte sind durch den FQDN Ihres Dateiservers und den FQDN Ihres KDC zu ersetzen.

nslookup <file_server_fqdn>
nslookup <kdc_fqdn>

Überprüfung des Ergebnisses.

Auf dem Admin-Host wird ein Aktualisierungsauftrag gestartet, sein Abschluss abgewartet und anschließend das zugehörige Protokoll angezeigt.

JOB="kerberos-refresh-$(date +%s)"
kubectl -n "${NAMESPACE}" create job "${JOB}" --from=cronjob/ds-krb5-ticket-refresher
kubectl -n "${NAMESPACE}" wait --for=condition=complete "job/${JOB}" --timeout=120s
kubectl -n "${NAMESPACE}" logs "job/${JOB}"

Es sollte geprüft werden, ob der gemeinsam genutzte Ticket-Cache vorhanden ist und einen aktuellen Zeitstempel aufweist.

ls -l "${AIDE_CONFIG_ROOT}/kerberos/kerberos_ccache/krb5cc_shared"

Auflistung der Mount Service Pods und der Knoten, auf denen sie ausgeführt werden.

kubectl -n "${NAMESPACE}" get pods -l app.kubernetes.io/name=ds-mount-server -o wide

Für jeden Pod sind die folgenden Befehle auszuführen. Dabei ist <pod_name> durch den Namen des Pods zu ersetzen.

POD=<pod_name>
kubectl -n "${NAMESPACE}" exec "${POD}" -- nslookup "${FILE_SERVER_FQDN}"
kubectl -n "${NAMESPACE}" exec "${POD}" -- klist
kubectl -n "${NAMESPACE}" exec "${POD}" -- cat /etc/krb5.conf

(Optional) Ein Test der Einbindung der Freigabe mithilfe von Kerberos ist möglich.

kubectl -n "${NAMESPACE}" exec "${POD}" -- sh -c "mount -t cifs -o sec=krb5,multiuser //${FILE_SERVER_FQDN}/${SHARE_NAME} /mnt && ls -l /mnt && umount /mnt"

In der Benutzeroberfläche der AI Data Engine wird Konfiguration ausgewählt.

Auf der Registerkarte Gescannte Systeme ist System hinzufügen auszuwählen.

Die Dateifreigabegruppe wird ausgewählt.

Geben Sie einen Namen für die Gruppe an.

Die Eingabe des Freigabepfads erfolgt im Format <file_server_fqdn>/<share_name>. Anstelle der Platzhalter werden Ihre Werte verwendet. Für diese Eingabe wird keine IP-Adresse verwendet.

Als Authentifizierungsverfahren wird Kerberos verwendet. Die Felder für Benutzername und Passwort bleiben leer.

Nach der Überprüfung Ihrer Auswahl erfolgt die Auswahl von Bestätigen.

Für das neue System erfolgt die Auswahl der Option Scans aktivieren.

Es ist sicherzustellen, dass Ihr Active Directory DNS-Server auch externe Namen auflöst.

Auf jedem Knoten wird ein Backup /etc/resolv.conf erstellt, und Ihr Active Directory DNS-Server wird als einziger Nameserver festgelegt. Beim Öffnen einer neuen Shell auf einem Knoten muss die KDC_IP Variable erneut gesetzt werden.

export KDC_IP="<kdc_ip>"
cp /etc/resolv.conf /etc/resolv.conf.bak
ORIG_SEARCH=$(grep '^search' /etc/resolv.conf.bak | head -1 | cut -d' ' -f2-)
printf 'search %s\nnameserver %s\n' "${ORIG_SEARCH}" "${KDC_IP}" > /etc/resolv.conf

Auf jedem Knoten ist sicherzustellen, dass der Netzwerkmanager die DNS-Einstellungen nach einem Neustart nicht überschreibt.

Vom Administrator-Host aus erfolgt der Neustart von CoreDNS, damit AI Data Engine die neuen DNS-Einstellungen verwendet. Dieser Schritt ist einmalig für den gesamten Cluster erforderlich. CoreDNS leitet Anfragen für Namen außerhalb des Clusters an die in der `/etc/resolv.conf`Datei des Knotens hinterlegten Nameserver weiter, daher ist ein Neustart erforderlich, damit die Änderung übernommen wird.

Erneute Überprüfung der Namensauflösung. Weitere Informationen hierzu enthält Überprüfung der Namensauflösung.

Auf dem Admin-Host ist ein Neustart des Mount-Dienstes sowie das Löschen der vorherigen Ticket-Aktualisierungsaufträge erforderlich.

kubectl -n "${NAMESPACE}" rollout restart daemonset ds-mount-server
kubectl -n "${NAMESPACE}" delete job -l app.kubernetes.io/name=ds-krb5-ticket-refresher --ignore-not-found

Eine neue Ticketaktualisierung starten. Weitere Informationen finden Sie in Start der ersten Ticketaktualisierung.

In der AI Data Engine UI ist die SMB/CIFS-Datenquelle, die Kerberos verwendet, zu löschen.

Auf dem Admin-Host, auf dem der NFS-Export unter /mnt/aide-config gemountet ist, werden die Kerberos-Dateien gelöscht.

rm -f /mnt/aide-config/kerberos/kerberos_refresher/datasense.keytab
rm -f /mnt/aide-config/kerberos/kerberos_refresher/kerberos_creds.env
rm -f /mnt/aide-config/kerberos/krb5.conf
rm -f /mnt/aide-config/kerberos/kerberos_ccache/krb5cc_shared
umount /mnt/aide-config

Wenn Sie die DNS-Einstellungen geändert haben, ist eine Wiederherstellung der ursprünglichen Einstellungen erforderlich.